资金费率
资金费率热力图
多空比
大户多空比
币安/欧易/火币大户多空比
Bitfinex杠杆多空比
账号安全
资讯收藏
自选币种
Ledger 披露硬件钱包遭隐藏植入物窃取助记词，安全芯片未能完全防御物理攻击
硬件钱包制造商 Ledger 近日表示，一款隐藏的植入物成功从设备中复制了钱包的恢复助记词。尽管该设备的硬件核心是基于旨在保护此类敏感信息的安全芯片构建的，但这一攻击依然得逞。
关键要点
Ledger 报告称，隐藏植入物从设备中复制了钱包的恢复助记词。
尽管存在作为硬件钱包营销核心的安全芯片，复制行为仍然发生。
恢复助记词赋予了对加密货币钱包的完全访问权限。任何持有这些助记词的人都可以转移存储在钱包中的所有资金。
关于隐藏植入物的具体行为
据 Ledger 透露，设备上的隐藏植入物成功窃取了钱包的恢复助记词。恢复助记词（有时称为种子短语）是一串由 12 到 24 个单词组成的序列，相当于加密货币钱包的主密钥。无论使用何种设备，只要掌握了这些助记词，就控制了其中的资金。
此次报告引人注目的地方在于，声称该植入物绕过了设备的安全芯片。安全芯片是一种防篡改组件，硬件钱包利用它在与设备其他电子元件隔离的环境中存储敏感数据，其初衷正是为了防止此类数据被提取。
Ledger 尚未公开确认受影响的设备数量、事件发生的时间以及植入物是如何引入的具体细节。此前已有报道指出，硬件钱包面临更广泛的供应链暴露风险，因为设备在到达最终买家手中之前可能会经过多个环节。此次报告的事故符合人们对设备在交付用户前遭受物理篡改的担忧。
根据 Ledger 的声明，该植入物应被视为一种物理层面的妥协。这意味着在设备从工厂到用户的旅程中的某个时刻，有人可能引入了恶意组件。报告的描述并未暗示存在数字或软件层面的攻击。
这对硬件钱包用户意味着什么
由于硬件钱包将私钥离线保存，它们被视为加密资产安全的黄金标准。但此次事件说明了这种保护的局限性：安全芯片可以防范远程攻击，却无法防范在你收到设备之前，有人对设备内部进行物理接触的情况。
恢复助记词是与任何加密货币钱包相关的最敏感信息。其设计初衷是，即使没有实体设备，任何人只要知道这些助记词，就可以在任意兼容的硬件上恢复钱包并访问所有资金。如果助记词在不知情的情况下被复制，这一设计特性就会成为关键的安全漏洞。
对于正在使用或考虑购买硬件钱包的用户，以下实用步骤可以降低风险：
- 仅通过官方渠道购买：只直接从制造商或官方授权经销商处购买。通过二手市场或非官方渠道购买会显著增加收到被篡改设备的风险。
- 检查包装完整性：设备到货时请仔细检查包装。合法的设备通常带有防篡改密封条；如果密封条看起来破损或被重新粘贴，请勿使用该设备。
- 切勿数字化存储助记词：不要将助记词保存在照片、笔记应用或云文档中。应手写在纸上，并确保纸张的物理安全。
硬件钱包只是安全防护的一层，而非独立的完整解决方案。
行业趋势与建议
随着行业不断演进，种子短语的安全性也在持续发展，一些项目正在探索账户恢复方法，以减少对单一书面备份的依赖。在这些替代方案成为主流之前，书面恢复助记词的安全仍由钱包持有者负责。
此外，在进行钱包迁移或关闭服务期间，恢复助记词面临的风险也会升高，因为用户正在积极转移资金，且此时处理助记词的态度可能不如平时谨慎。
Ledger 报告的核心教训简明扼要：即使设备具备强大的芯片级安全性，如果在交付给你之前有人对其进行了物理篡改，它仍然可能被攻破。请务必验证设备的来源，到货时仔细检查，并将你的恢复助记词视为你所拥有的最敏感的文件加以保护。
